ISC2 Certified in Cybersecurity – Bộ đề chuẩn

ISC2 CC – Certified in Cybersecurity – TÀI LIỆU ÔN TẬP

Đề cương vừa đổi. Bản đang áp dụng hiệu lực từ 01/09/2026 — khoảng một tháng trước thời điểm soạn tài liệu này, và tên domain đã đổi thật: bản mới có "Security Governance" và gộp "Cloud" vào domain mạng.

Nếu bạn học bằng tài liệu xuất bản trước tháng 9/2026, cấu trúc domain trong đó không còn khớp. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Định dạng: CAT (Computerized Adaptive Testing)
• Số câu: 100–125 câu (không cố định)
• Thời gian: 2 giờ
• Điểm đậu: 700 trên thang 0–1000
• Lệ phí tham khảo: 199 USD. ISC2 có chương trình One Million Certified in Cybersecurity cho thi và học miễn phí — kiểm trên isc2.org xem còn mở không.
• Điều kiện: không yêu cầu kinh nghiệm. Đây là chứng chỉ vào nghề, dành cho người mới hoàn toàn.
• Ngôn ngữ: tiếng Anh, Trung, Nhật, Đức, Tây Ban Nha

CC là bước đầu tiên trong lộ trình ISC2, dẫn tới SSCP rồi CISSP. Đề hỏi khái niệm, không hỏi cấu hình.

2. NỘI DUNG ÔN TẬP THEO 5 DOMAIN

Tỉ lệ có số thập phân vì ISC2 tính theo số câu thật trong đề, không làm tròn. Domain 1 nặng nhất (gần một phần tư) — và cũng là domain dễ nhất, nên đừng bỏ.

Domain 1: Security Principles (24%)

• CIA triad: confidentiality, integrity, availability — và ví dụ thực tế của từng yếu tố.
• Xác thực và phân quyền: authentication (something you know / have / are), MFA, non-repudiation, authorization, accounting.
• Nguyên tắc bảo vệ dữ liệu riêng tư.
• Khái niệm quản lý rủi ro: rủi ro là gì (threat × vulnerability × impact), xác định rủi ro, đánh giá rủi ro, xử lý rủi ro (accept / avoid / mitigate / transfer), mức chấp nhận rủi ro (risk tolerance).
• Phân loại biện pháp kiểm soát: technical, administrative, physical — và preventive, detective, corrective, deterrent, compensating.
• Quy trình quản trị: thủ tục, chính sách, chuẩn, quy định và luật.
• Đạo đức nghề nghiệp: ISC2 Code of Ethics và quy tắc đạo đức của tổ chức.

Domain 2: Security Governance (17,3%)

• Quy trình quản trị an toàn thông tin: mối quan hệ giữa chính sách (policy) → chuẩn (standard) → thủ tục (procedure) → hướng dẫn (guideline) — phân biệt bốn thứ này là câu hỏi gần như chắc chắn có.
• Quy định và luật: ví dụ về yêu cầu pháp lý (GDPR, HIPAA và tương đương ở mức khái niệm).
• Khung quản trị và vai trò trách nhiệm trong tổ chức.
• Đào tạo nhận thức bảo mật: mục đích, đối tượng, nội dung, tần suất.

Domain 3: Identity and Access Management Concepts (20%)

• Kiểm soát truy cập vật lý: rào chắn, khoá, badge, camera, biometric, mantrap, bảo vệ, kiểm soát ra vào trung tâm dữ liệu, quản lý khách.
• Kiểm soát truy cập logic: nguyên tắc least privilege, separation of duties, need-to-know, phân quyền theo vai trò, đặc quyền (privileged account) và cách bảo vệ.
• Quản lý danh tính: provisioning và deprovisioning, vòng đời tài khoản, review truy cập định kỳ.
• Mô hình kiểm soát truy cập: DAC (discretionary), MAC (mandatory), RBAC (role-based) — biết khác nhau và dùng khi nào.

Domain 4: Networking and Cloud Security Concepts (21,3%)

• Khái niệm mạng: loại mạng (LAN, WAN), mô hình OSI và TCP/IP, IPv4 và IPv6, mạng không dây, địa chỉ IP, port và giao thức cơ bản.
• Mối đe doạ mạng và cách phòng: DoS và DDoS, on-path (man-in-the-middle), side-channel, virus, worm, trojan, ransomware; biện pháp (firewall, IDS/IPS, antivirus, phân đoạn mạng, VPN, VLAN, DMZ, zero trust, micro-segmentation).
• Hạ tầng mạng: trung tâm dữ liệu (on-premises và cloud), redundancy, cloud service model (IaaS, PaaS, SaaS), cloud deployment model (public, private, hybrid, community), MSP, service-level agreement.
• Bảo mật cloud ở mức khái niệm: shared responsibility, kiểm soát truy cập trên cloud, mã hoá dữ liệu trên cloud.

Domain 5: Security Operations and Incident Response (17,3%)

• Bảo mật dữ liệu: hashing, mã hoá, phân loại dữ liệu, xử lý dữ liệu (handling), ghi log và giám sát.
• Quản lý cấu hình hệ thống: inventory, baseline, cập nhật và vá lỗi.
• Thực hành bảo mật tốt nhất: chính sách (data handling, password, acceptable use, BYOD, change management, privacy), đào tạo nhận thức bảo mật (social engineering, mật khẩu mạnh).
• Ứng cứu sự cố: mục tiêu, thành phần kế hoạch ứng cứu, vai trò trong đội ứng cứu, quy trình.
• Tính liên tục kinh doanh (BC): mục đích, thành phần kế hoạch, BIA ở mức khái niệm.
• Khôi phục thảm hoạ (DR): mục đích, thành phần kế hoạch, RTO và RPO, loại site dự phòng (hot, warm, cold), sao lưu.

3. BA CHỖ DỄ MẤT ĐIỂM

Về định dạng CAT: đề tự điều chỉnh độ khó theo câu trả lời. Hệ quả: không quay lại sửa câu đã làm được, số câu không cố định, và chiến thuật "làm nhanh rồi rà lại" không dùng được — phải cân nhắc đủ ngay lần đầu.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline CC: https://www.isc2.org/certifications/cc/cc-certification-exam-outline
• Trang chứng chỉ: https://www.isc2.org/certifications/cc
• Chương trình học và thi miễn phí của ISC2 (kiểm còn mở không): https://www.isc2.org/landing/1mcc

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực 01/09/2026, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.